یک خبر تاسف برانگیز برای کارشناسان حوزه امنیت اطلاعات

از کوچکترین تا بزرگترین نقل و انتقال دیتا روی شبکه های کامپیوتری و اینترنت، الگوریتم های رمزنویسی RSA است که تولید امنیت کرده تا عملیات گوناگون در شبکه انجام شود و حالا تصور کنید که شاه کلید امنیت خود آلوده به بک دوری باشد که با رشوه ای 10 میلیون دلاری در دستان آژانس امنیت ملی امریکا افتاده باشد و این بدان معناست که فاتحه امنیت مدتهاست خوانده شده است.

در گزارش دیروز رویترز به نقل از دو تن از مقامات داخل RSA امده که آنها روی محصول BSAFE toolkit و Data Protection Manager و روی تولید کننده تصادفی کلید امنیتی موسوم به Dual_EC_DRGB بک دور ایجاد شده توسط NSA را بکارگرفته اند.

این دو مقام که نامشان را رویترز فاش نکرده گفته اند که RSA با گرفتن 10 میلیون دلار از آژانس امنیت ملی امریکا چنین کاری را کرده است.

سپتامبر گذشته در یکی از اسناد منتشره از سوی اسنودن یه این نکته اشاره شده بود (و همان موقع به برخی مشتریان توصیه شد تا از این مولد کلید امنیتی استفاده نکنند) اما حالا با تایید این موضوع از سوی مقامات داخلی RSA، ابعاد تازه ای از این فاجعه امنیتی را آشکار شده است.

RSA  به سازمانها، به حکومتها و نهادها کلیدهای امن برای نقل و انتقال انواع دیتا می فروشد و در واقع مرجع اصلی برای امنیت اطلاعات با استانداردهای بالای امنیتی محسوب می شود و قابل تصور نیست که چنین سازمانی به خاطر 10 میلیون دلار به کاربران اینترنت خیانت کند.

از کلیدهای رمزگذاری شده تولید شده توسط ابزار RSA می توان به اصطلاح مطمئن شد که هنگام نقل و انتقال خطری دیتای شما را تهدید نمی کند اما بک دوری که داخل تولید کننده کلید امنیتی تعبیه شده بدان معناست که آژانس امنیت ملی می توانسته حتی دیتای رمزگذاری شده شما را نیز بخواند.

طبق اسناد تایید شده  RSA ده میلیون دلار گرفته تا تولید کننده کلید امنیتی آلوده به ویروس را فقط به مشتریان بفروشد و این کلید امنیتی شاه کلیدی دارد که در دست آژانس امنیت ملی باشد تا آنها محصولات به اصطلاح امن را نیز طبق اهداف خود کنترل و مدیریت کنند.

در واقع الگوریتم رمزگذاری و تولید رمز بنام Dual Elliptic Curve Deterministic Random Bit Generator که قرار بوده اطلاعات حساس بانکی و ... را تضمین کند، خود، آلوده به بک دور است.

در گزارش رویترز آمده که قبل از حکومتی شدن RSA در سال 2005 بیساری از مهندسان از این کمپانی رفتند و الگوریتم مولد Dual_EC_DRGB خیلی کم استفاده می شود، اما چگونه می توان باور کرد وقتی کمپانی تامین کننده امنیت سایر کلیدهای خود را در اختیار NSA نگذاشته باشد؟

RSA که مقر آن در بدفورد ماساچوست است در سال 1982 تاسیس شد، در سال 2006 به مبلغ 2.1 میلیارد دلار توسط EMC خریداری شد. کمپانی هایی مانند Verisign نیز از روی کلیدهای RSA توسعه پیدا کرد.